Windows Update 自動推送的「系統漏洞補丁」是微軟針對作業系統程式碼缺陷 (漏洞) 釋出的修正程式，分為安全性更新與功能性更新兩大類，是維護系統安全穩定的基石。
一、什麼是系統漏洞
- 作業系統數千萬行程式碼難免存在邏輯錯誤、緩衝區溢位、權限提升、資訊洩露、拒絕服務等缺陷。
- 攻擊者利用漏洞執行任意代碼、竊取資料、植入勒索軟體、橫向移動攻擊內網。
- 零時差漏洞 (Zero-day) 指漏洞公開/被利用時官方尚未釋出補丁，風險最高。
二、補丁分類
| 分類 | 英文代碼 | 嚴重性 | 內容 | 範例 |
|---|
| 關鍵/重要安全性更新 | Critical / Important Security Update | 最高 | 修復可被遠端利用執行代碼、提權、繞過驗證的漏洞 | MS17-010 (EternalBlue)、CVE-2021-34527 (PrintNightmare) |
| 一般安全性更新 | Security Update | 中 | 修復需本機存取/特定條件才能利用的漏洞 | 本機提權、資訊洩露修正 |
| 功能性更新 / 非安全性更新 | Update / Feature Update | 低 | 修正 Bug、改善相容效能、新增功能、更新驅動 | KB4023057 (Win10 升級相容)、.NET Framework 更新 |
| 驅動程式更新 | Driver Update | 視情況 | 顯示卡、網卡、晶片組、音效、列印裝置驅動 | Intel 顯示卡 30.0.100.xxx |
| 定義更新 | Definition Update | 高 | Windows Defender 病毒/間諜軟體特徵碼 | 每日多次推送 |
三、為何必須及時安裝
- 🛡️ 封鎖已知攻擊路徑：駭客掃描工具 (Nmap, Metasploit, Cobalt Strike) 會優先嘗試已公開漏洞 (CVE)，未修補系統極易淪陷。
- 🛡️ 合規要求：ISO 27001、GDPR、HIPAA、金融/醫療/政府法規均要求「及時套用安全性修補程式」。
- 🛡️ 穩定性與相容性：功能性更新修正記憶體洩漏、死鎖、藍畫面、應用程式相容問題。
- 🛡️ 供應鏈安全：軟體供應鏈攻擊 (SolarWinds, Kaseya) 常利用未修補系統作為跳板。
四、企業級管理建議
- WSUS / Microsoft Endpoint Configuration Manager (SCCM) / Intune 集中管理核准/部署/報表。
- 測試環境先行驗證：建立代表性測試機群 (5-10% 產能) → 部署補丁 → 運行業務應用 48-72 小時 → 無嚴重問題 → 推廣生產環境。
- 維護視窗：非營運時段 (如週末凌晨 02:00-06:00) 自動部署並重開機。
- 例外處理：關鍵伺服器 (資料庫、ERP、SCADA) 需人工排程、備份快照、驗證回滾方案後再更新。
- 第三方軟體補丁：Adobe、Chrome、Office、Java、Python 等同樣需納入修補週期，可用 Patch My PC、SCUP、Chocolatey 自動化。
五、常見誤區
| 誤區 | 事實 |
|---|
| 「補丁會讓系統變慢/壞掉」 | 極少數相容性問題 (通常 48 小時內微軟撤回/釋出修正)，整體收益遠大於風險 |
| 「關閉自動更新比較安全」 | 錯誤，未修補系統是駭客最愛目標，WannaCry 受害者多為關閉更新機器 |
| 「只裝重要更新，選用更新不用裝」 | 選用更新常含驅動修正、.NET 修正、效能改善，建議一併安裝 |
| 「伺服器不連網就不用打補丁」 | 內網橫向移動、USB 傳播、供應鏈攻擊不需直接連網，離線匯入補丁同樣必要 |
